En bref
- Pas de publicité, pas de cookie publicitaire.
- La mesure d’audience (Google Analytics) ne se charge que si tu l’acceptes, et tu peux changer d’avis à tout moment.
- On collecte le minimum pour faire fonctionner les comptes, les discussions et les tickets.
- Tes données ne sont jamais vendues ni louées.
- Tu peux exporter tes données ou supprimer ton compte toi-même, depuis ton profil.
Responsable du traitement
Joam Brochard De La Calle (RedKey), 68 rue Gabriel Péri, 78210 Saint-Cyr-l’École, France. Contact pour toute question sur tes données : joam.brochard@ecole2600.com.
Données collectées et pourquoi
| Données | Finalité | Base légale | Durée |
|---|---|---|---|
| Email, mot de passe (stocké haché, jamais en clair), pseudo, photo de profil, bio, lien, dates d’inscription et de connexion | Créer et gérer ton compte | Exécution des CGU | Jusqu’à la suppression du compte |
| Avec GitHub : pseudo, photo de profil et email transmis par GitHub | Connexion avec GitHub | Exécution des CGU | Jusqu’à la suppression du compte |
| Discussions, commentaires, réactions | Afficher les échanges sous les publications | Exécution des CGU | Conservés de façon anonymisée après la suppression du compte |
| Tickets, messages et pièces jointes | Répondre à tes demandes et traiter les signalements de vulnérabilité | Exécution des CGU | Conservés de façon anonymisée après la suppression du compte ; effacement sur demande |
| Rapports bug bounty : description de la faille, pièces jointes, échanges, nom et lien affichés au Hall of Fame | Traiter le signalement, le corriger et créditer le chercheur | Exécution des règles du programme | Conservés de façon anonymisée après la suppression du compte ; effacement sur demande |
| Adresse postale et taille de t-shirt (bug bounty) | Envoyer les goodies, uniquement quand le rapport est validé et que le pack comprend un envoi postal | Exécution des règles du programme | Lisible par l’administrateur seul, jamais affichée sur le site ; effacée automatiquement dès que le colis est marqué envoyé |
| Préférences de notification | T’envoyer les emails que tu as choisis | Consentement, retirable à tout moment | Jusqu’au désabonnement ou à la suppression du compte |
| Email inscrit sur la page « bientôt » | Te prévenir du lancement, une seule fois | Consentement | Effacé après l’envoi de l’email de lancement |
| Avec ton accord uniquement : pages vues, page de provenance, type d’appareil et de navigateur, pays, identifiant aléatoire stocké dans un cookie | Mesurer l’audience du site (Google Analytics) | Consentement, retirable à tout moment | Cookies : 13 mois maximum ; statistiques : 14 mois maximum |
| Horodatage de tes envois (identifiant de compte uniquement) | Limiter le spam | Intérêt légitime : sécurité du site | 24 heures |
| Journaux techniques : adresse IP, date, page demandée, navigateur | Sécurité, diagnostic des erreurs, détection des abus | Intérêt légitime : sécurité du site | Rotation automatique ; archives effacées au bout de 90 jours |
Ton email n’est jamais affiché publiquement. Seuls ton pseudo, ta photo, ta bio et ton lien sont visibles par les autres. Un rapport bug bounty n’est visible que par toi et l’administrateur, et son contenu n’est jamais copié dans les emails.
Qui a accès à tes données
Seul l’administrateur du site. Les prestataires techniques suivants les traitent uniquement pour faire fonctionner le service :
- OVH SAS (France) : hébergement du site et de la base de données, sur un serveur situé au Canada. Le Canada bénéficie d’une décision d’adéquation de la Commission européenne.
- Google (Gmail) : envoi des emails du site. Ton adresse et le contenu de l’email transitent par ses serveurs. Les transferts vers les États-Unis sont encadrés par le Data Privacy Framework UE–États-Unis.
- Google (Google Analytics, Google Tag Manager) : uniquement si tu acceptes la mesure d’audience. Transferts vers les États-Unis encadrés par le Data Privacy Framework.
- GitHub (États-Unis) : uniquement si tu choisis « Continuer avec GitHub ». Transferts encadrés par le Data Privacy Framework.
Contenus tiers affichés dans les pages
Certaines images (photos de profil GitHub, badges) sont chargées depuis GitHub ou shields.io. Ton navigateur contacte alors directement ces services, qui reçoivent ton adresse IP. Certaines publications affichent une page web externe en direct : ce site tiers peut alors appliquer ses propres cookies et sa propre politique de confidentialité. Ces pages ne se chargent que lorsque tu arrives à leur niveau dans l’article.
Cookies et stockage local
Le site ne dépose aucun cookie publicitaire. Il n’utilise que :
- La mesure d’audience, avec ton accord. Si tu cliques « Accepter » dans le bandeau, Google Tag Manager charge Google Analytics, qui dépose les cookies
_gaet_ga_…(13 mois maximum). Tant que tu n’as pas choisi, ou si tu refuses, aucun script Google n’est chargé. Tu peux changer d’avis à tout moment avec le lien Gérer les cookies, en bas de chaque page : refuser efface ces cookies. - Le stockage strictement nécessaire, qui ne demande pas de consentement : ta session quand tu te connectes (clé
sb-…-auth-tokendans le stockage local du navigateur, effacée à la déconnexion) et ton choix sur le bandeau (clélux-consent, gardée 6 mois, après quoi le bandeau te redemande).
Sécurité
Connexions chiffrées en HTTPS, mots de passe hachés, droits d’accès contrôlés directement dans la base de données, pièces jointes des tickets stockées en privé, limitation du nombre de messages, en-têtes de sécurité stricts.
Tes droits
Tu as le droit d’accéder à tes données, de les rectifier, de les effacer, de les récupérer (portabilité), de limiter leur traitement et de t’y opposer, ainsi que de retirer ton consentement. Tu peux aussi définir des directives sur le sort de tes données après ton décès.
- Exporter ou supprimer ton compte : directement depuis ton profil.
- Modifier ton pseudo, ta photo ou tes notifications : depuis ton profil également.
- Toute autre demande (par exemple l’effacement d’un ticket) : écris à joam.brochard@ecole2600.com. Réponse sous un mois.
Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL : cnil.fr/fr/plaintes.